CVE-2023-34250
ŚrednieCVSS 4.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 32 - wyżej niż 32% wszystkich znanych CVE
Streszczenie
Discourse to otwarta platforma dyskusyjna, w której przed wersją 3.0.4 gałęzi `stable` oraz 3.1.0.beta5 gałęzi `beta` i `tests-passed`, atakujący mógł wykorzystać nowy punkt końcowy do odrzucania tematów, aby ujawnić liczbę ostatnio utworzonych tematów w kategoriach, do których nie miał dostępu.
Ocena ryzyka
Organizacja może być narażona na ujawnienie informacji o aktywności w kategoriach, co może prowadzić do nieautoryzowanego dostępu do danych lub naruszenia prywatności użytkowników.
Rekomendacja
Zaleca się aktualizację do wersji 3.0.4 gałęzi `stable` lub 3.1.0.beta5 gałęzi `beta` i `tests-passed`, aby usunąć tę podatność.
Oryginalny opis (angielski, źródło NVD)
Discourse is an open source discussion platform. Prior to version 3.0.4 of the `stable` branch and version 3.1.0.beta5 of the `beta` and `tests-passed` branches, an attacker could use the new topics dismissal endpoint to reveal the number of topics recently created (but not the actual content thereof) in categories they didn't have access to. This issue is patched in version 3.0.4 of the `stable` branch and version 3.1.0.beta5 of the `beta` and `tests-passed` branches. There are no known workarounds.